CVE-2026-41582
WysokieCVSS 7.5Streszczenie
W countly-server publiczne trasy obrazów i zrzutów ekranu łączą kontrolowane przez atakującego ścieżki wieloznaczne bez walidacji zawierania. W wdrożeniach z lokalnym backendem systemu plików nieuwierzytelnione żądanie może wyjść poza zamierzone katalogi zasobów i dotrzeć do getStats lub getStream, ujawniając dowolne czytelne pliki serwera. Luka naprawiona w wersjach 24.05.50 i 25.03.44.
Ocena ryzyka
Nieuwierzytelniony atakujący może odczytać dowolne pliki serwera, co prowadzi do poważnego wycieku informacji.
Rekomendacja
Zaktualizuj countly-server do wersji 24.05.50 lub 25.03.44 (lub nowszej). Rozważ ograniczenie dostępu do publicznych tras obrazów jako środek tymczasowy.
Inne podatności w countly-server
Zobacz wszystkie- CVE-2026-42270Wysokie
W countly-server publiczne trasy obrazów i zrzutów ekranu korzystające z lokalnego backendu systemu plików wywołują getStream i przekazują strumienie do odpowiedzi HTTP bez nasłuchiwania błędów. Nieuwierzytelnione żądanie z zakodowaną kropką może sprawić, że createReadStream otworzy katalog, wyemituje asynchroniczny błąd EISDIR i zakończy proces Node.js jako nieobsłużony wyjątek. Luka naprawiona w wersjach 24.05.50 i 25.03.44.
- CVE-2026-42269Wysokie
W countly-server uwierzytelniona trasa usuwania danych migracji przekazuje kontrolowany przez użytkownika exportid do clean_up_data bez walidacji ścieżki. Identyfikator jest łączony w ścieżkę rozwiązywaną poza zamierzonym katalogiem importu i usuwany rekurencyjnie, co pozwala administratorowi aplikacji lub użytkownikowi z uprawnieniami migracji usuwać pliki i drzewa katalogów. Luka naprawiona w wersjach 24.05.50 i 25.03.44.
Oryginalny opis (angielski, źródło NVD)
countly-server is the server-side part of Countly, a product analytics solution. Prior to 24.05.50 and 25.03.44, public image and screenshot routes implemented in frontend/express/app.js, plugins/star-rating/frontend/app.js, and plugins/dashboards/frontend/app.js concatenate attacker-controlled wildcard paths without containment validation. On deployments using the local filesystem backend, an unauthenticated request can traverse outside the intended asset directories and reach getStats or getStream in api/utils/countlyFs.js, allowing arbitrary readable server files to be disclosed. The affected routes include /appimages/*, /memberimages/*, */screenshots/*, /star-rating/images/*, and /dashboards/images/screenshots/*. This issue is fixed in versions 24.05.50 and 25.03.44.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS